下图显示了Windows操作系统的I/O系统结构。Windows的I/O系统由5个部分组成：

I/O管理器

即插即用管理器

电源管理器

WMI例程

设备驱动程序

其中，I/O管理器是整个I/O系统的核心，它定义了一个非常通用的框架，允许各种功能的设备驱动程序容纳于其中。

I/O管理器除了支持与设备驱动相关的驱动程序以外，它也允许与设备无关的驱动程序加入到内核中。这一类驱动程序并不操纵任何硬件设备，它们直接进入到内核后，将变成内核的一部分，一旦经过I/O管理器的初始化，便与内核融为一体。因此，设备驱动程序也是内核扩展的一种形式。

在I/O系统中，有三种基本内核对象：

驱动程序对象：一个设备驱动程序被加载到系统中以后的内部表示

设备对象：系统中的一个设备，它即可以是物理设备，也可以是逻辑设备

文件对象：一个设备被打开后的实例

I/O管理器负责管理和协调这三种对象，并建立它们之间的关系。

当I/O管理器加载一个设备驱动程序时，它会创建一个驱动程序对象，该对象在对象管理器目录中的路径为:\Driver\DriverName或\FileSystem\DriverName。如果是文件系统类型的驱动程序，则该对象应该放置在"\FileSystem"目录下，否则放在"Driver"目录下。

驱动对象的定义如下：

其中的扩展部分DriverExtension的定义如下：

创建驱动对象的API是IoCreateDriver，该函数首先会判断传入的参数是否指定了驱动名称

如果传入了驱动名称，将其赋值到局部变量中

调用ObCreateObject创建驱动对象

将保存驱动对象的内存空间清0

为驱动的扩展部分赋值，这里可以看出驱动的扩展部分的内存就紧跟在驱动对象后面

为类型和标记赋值，由于前面执行了push 4，因此此时的eax为4

MajorFunction数组和驱动初始化例程DriverInit赋值为IopInvalidDeviceRequest函数地址

申请一块内存空间，将驱动名复制进去，并为扩展对象赋值

调用ObInsertObject函数将驱动对象插入句柄表

调用ObReferenceObjectByHandle来获取驱动对象并关闭句柄

为驱动对象的DriverName赋值

调用InitializationFunction，此时ebx保存的是创建的驱动对象的地址

与驱动对象相关的另一种对象是设备对象。每个设备对象代表了系统中的一个设备，包括逻辑设备和物理设备。正常情况下，有两种途径可以创建设备对象：

即插即用管理器在检测到设备时，通过调用驱动程序的AddDevice例程来创建设备对象

非即插即用驱动程序在它们的初始化例程中创建设备对象

每个设备对象都必定有一个为它负责的驱动程序。对设备对象的各种操作实际上是由为它负责的驱动程序中的例程来完成的。一个驱动程序可以支持多个设备对象，所以，一个驱动对象中有一个链表记录了它负责的所有设备对象。

设备对象结构如下：

设备扩展的定义如下：

设备对象指向的有两个扩展空间，一个是留给用户定义的空间，称为设备扩展，由成员DeviceExtension指向；另一个是内建的固定空间，称为设备对象扩展空间，由成员DeviceObjectExtension指向。紧跟着设备对象空间的是用户定义设备扩展空间，之后是设备对象扩展空间。用户定义的设备扩展空间可以不存在，但是内建的设备对象扩展空间一定存在。用户定义的设备扩展空间如果存在，是8字节对齐的。

创建设备由函数IoCreateDevice，函数原型如下：

其中第一个参数指定了创建的设备对象要关联的驱动对象，而最后一个参数则作为输出参数获取创建的设备对象。

函数主要的几个功能如下：

首先，函数会创建一个设备对象，大小是设备对象的大小加上设备对象扩展大小以及用户定义设备扩展大小，创建完成后就对创建的设备对象进行赋值

赋值完成后，将创建的设备对象插入到句柄表中

指定创建的设备对象的DriverObject，也就是指定设备对象的相关联的驱动对象

调用IopInsertRemoveDevice来将设备链接到驱动对象中

IoInsertRemoveDevice的代码很简单，就只是通过设备对象的NextDevice加入到驱动对象的DeviceObject链表的第一个驱动对象中

IRP是Windows系统中用于表达一个I/O请求的核心数据结构，当内核模式代码要发起一个I/O请求时，它会构造一个IRP，用于在处理该I/O请求的过程中代表该请求。IRP的结构如下：

IRP对象从一个I/O请求被发起时开始存在，一直到该I/O请求被完成时或者取消为止，在此过程中，会有多方操作此IRP对象，包括I/O管理器，即插即用管理器，电源管理器以及一个或多个驱动程序等。Windows I/O系统本质上支持异步I/O请求，所以，IRP对象必须携带足够多得环境信息，以便能够描述一个I/O请求的所有状态。

IRP对象有如下的设计特点：

所有I/O请求都被抽象成针对文件对象的操作，OriginalFileObject成员记录了该文件对象，代表一个I/O请求的目标

栈单元。由于可能有多个驱动程序依次参与到一个I/O请求的处理过程中，所以，一个IRP对象除了以上列出的IRP数据结构，其后还有一个称为栈单元的数组。每个参与处理的驱动程序都可以有它自己的栈单元

支持取消。这是一个显示的通知，当一个驱动程序的分发例程认为它以及完成了该I/O请求时，它会显式地告诉I/O管理器，此I/O请求已完成。参与处理的驱动程序可以为I/O请求注册一个完成例程，从而当它的下级驱动程序完成了该I/O请求时，此完成例程会被调用

在Windows中，I/O请求的目标是一个目标设备，但IRP并不能直接指向该设备对象。IRP对象记录了I/O请求的目标是一个文件对象，即它的OriginalFileObject域。I/O管理器通过函数IoGetRelatedDeviceObject可以定位到与该文件对象关联的设备对象，而且，如果目标设备对象位于一个设备栈中，那么该函数得到的是栈顶处的设备对象。

一旦定位到设备对象，接下来就可以进一步定位到驱动程序对象，因而，I/O管理器可以将I/O请求传递给驱动程序中的例程，交由驱动程序来处理。然而，从IRP的数据结构定义中，并没有看到I/O请求与驱动程序分发例程之间的关系。换句话说，从IRP的定义，看不出一个I/O请求对应于驱动程序中的哪个分发例程。事实上，IRP结构仅仅是一个I/O请求的固定描述部分，另一部分是一个或者多个栈单元。每个栈单元针对单个驱动程序，I/O管理器在处理一个I/O请求时，在调用驱动程序的分发例程以前，必须准备好一个栈单元空间，IRP结构中的成员CurrentLocation指明了供驱动程序使用的栈单元位置。栈单元数组依附在IRP数据结构的尾部。内核模式代码在发起一个I/O请求时，根据目标设备对象的StackSize域，可以知道最多有多少个驱动程序需要参与到该I/O请求的处理过程中，所以，它在分配IRP对象时，能够清楚地指示应该分配多少个栈单元。设备栈_IO_STACK_LOCATION结构定义如下：

下图显示了IRP与文件对象，设备对象和驱动程序之间的关系。I/O请求的发起者负责创建IRP对象，包括紧跟在后面的栈单元数组，然后初始化第一个栈单元。由于栈单元按照栈的方式来工作，所以，第一个栈单元即数组的最后一个元素。栈单元中的文件对象指向它的目标设备对象，设备对象包含了指向驱动程序对象的指针，而驱动程序对象则包含了一组分发例程，因此，基于这样的数据结构关系，I/O管理器可以将I/O请求转发给相应驱动程序的分发例程。

不难理解，一个IRP对象的栈单元所指的这些设备对象正是前面讲述的设备栈。I/O请求的发起者在构造IRP对象时，根据OriginalFileObject所指设备对象的栈深度，即DEVICE_OBJECT数据结构的StackSize成员，来决定应该为该IRP对象分配多少个栈单元。值得一提的是，IRP对象总是从非换页内存池中分配的，所以，即使处理I/O请求的驱动程序代码允许在DISPATCH_LEVEL或更高的IRQL上，也可以安全地访问IRP对象中的信息

在Windows中，IRP对象是通过IoAllocateIrp函数来分配的，该函数的代码如下，它仅仅将函数调用转发给pIoAllocateIrp函数指针。pIoAllocateIrp是一个全局变量，在I/O系统初始化过程中被设置为指向IopAllocateIrpPrivate函数，所以IRP对象的分配工作实际上是在函数IopAllocatePrivate中完成的。

I/O管理器维护两个快查表IopLargeIrpLookasideList和IopSmallIrpLookasideList。前者链表中的IRP对象包含IopLargeIrpStackLocations个栈单元，IopLargeIrpStackLocations的默认值是8；后者链表中的IRP对象包含一个栈单元。这两个快查表记录在处理器KPRCB结构体的快查数组成员PPLookasideList中。快查表中的IRP对象是系统资源，而并非属于某个进程。每个处理器KPRCB结构中的LookasideIrpFloat成员记录了当前允许快查表提供给进程的IRP对象的数量，LookasideIrpFloat成员的初始值是在IoInitSystem函数中设置，其大小取决于当前系统内存以及处理器的数量。

在IopAllocateIrpPrivate函数中，首先判断栈大小是否小于IopLargeIrpStackLocations且配额是否为0或LookasideIrpFloat是否大于0

如果满足条件，接下来判断栈大小是否等于1来判断从哪个快表中分配IRP对象

随后调用ExInterlockedPopEntrySList从P备份链表中分配IRP对象

如果从P备份链表中分配失败，则尝试从L备份链表中分配

判断IRP对象是否分配成功，此时edx指向的就是从快表中分配的IRP对象

如果分配不成功，根据配额是否为0，来分配IRP对象。如果配额不为0，则调用函数ExAllocatePoolWithQuotaTag来分配IRP对象

如果配额为0，则调用ExAllocatePoolWithTag来分配IRP对象

成功分配IRP对象以后，接着就对IRP对象进行赋值

IRP的释放通过IoFreeIrp来实现，但是和分配IRP对象类型，该函数只是用来实现函数的转发，真正释放IRP对象是在IopFreeIrp中实现

在IopFreeIrp中会对IRP对象的AllocationFlags进行判断

如果是从池内存中分配的IRP对象，调用ExFreePoolWithTag来释放IRP对象

否则就在释放内存以后，将其归还到备份链表中

IoCallDriver函数可以发送IRP对象到一个指定对象相关的驱动程序。和上面的函数一样，该函数只是实现了函数的转发。真正函数的实现是在IofCallDriver中实现的

IofCallDriver函数则再次转发函数，将函数指向IopfCallDriver

IopfCallDriver首先是获取下一设备栈，从中获取主请求码，也就是要执行的驱动对象例程的函数下标。从设备对象中获取驱动对象，在从驱动对象中获取执行例程，根据获取的下标执行函数

《Windows内核原理与实现》

《Windows内核设计思想》

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课